Addendum per il trattamento dei dati di Perplexity

Ultimo aggiornamento: 8 luglio 2025

Il presente Addendum per il trattamento dei dati ("DPA") costituisce parte integrante ed è incorporato in determinati termini di servizio e altri accordi che vi fanno esplicito riferimento tra Perplexity AI, Inc. ("Perplexity") e i clienti business ("Cliente"), compresi, a titolo esemplificativo, i Termini di servizio di Perplexity Pro for Enterprise e i Termini di servizio dell'API di Perplexity, che disciplinano l'utilizzo dei servizi di Perplexity da parte del Cliente (i "Servizi", e tali termini di servizio o altro accordo pertinente, l'"Accordo"). Nella misura in cui Perplexity elabori Dati Personali in relazione all'utilizzo dei Servizi da parte del Cliente, il presente DPA stabilisce le istruzioni del Cliente per il trattamento di tali Dati Personali e i diritti e gli obblighi di entrambe le Parti. Salvo quanto espressamente stabilito nel presente DPA, l'Accordo rimarrà invariato e in piena forza ed efficacia. In caso di conflitti tra il presente DPA e l'Accordo, prevarrà il DPA.

Definizioni. Ai fini del presente DPA, i seguenti termini avranno i significati di seguito indicati. I termini in maiuscolo utilizzati ma non definiti nel presente DPA avranno i significati attribuiti loro nei Termini e condizioni di Perplexity Pro for Enterprise. Tutti gli altri termini in maiuscolo nel presente DPA non altrimenti definiti nell'Accordo avranno i significati corrispondenti loro attribuiti dalle Leggi sulla privacy.

“Clausole da Titolare a Responsabile” indica (i) in relazione ai trasferimenti di Dati Personali soggetti al GDPR, le clausole contrattuali standard per il trasferimento di Dati Personali verso paesi terzi stabilite nella Decisione della Commissione 2021/914 del 4 giugno 2021, includendo specificamente il Modulo 2 (da Titolare a Responsabile) ("SCC UE"); e (ii) in relazione ai trasferimenti di Dati Personali soggetti al GDPR del Regno Unito, l'Addendum sul trasferimento internazionale dei dati alle Clausole contrattuali standard della Commissione UE (versione B.1.0) rilasciato dall'Information Commissioner del Regno Unito ("Addendum UK"), in ciascun caso come modificato, aggiornato o sostituito di volta in volta.

“Leggi sulla privacy UE/UK” indica, a seconda dei casi: (i) il Regolamento generale sulla protezione dei dati 2016/679 (il "GDPR"); (ii) la Direttiva relativa alla vita privata e alle comunicazioni elettroniche 2002/58/CE; (iii) il Data Protection Act 2018 del Regno Unito, il Regolamento generale sulla protezione dei dati del Regno Unito come definito dal Data Protection Act 2018 del Regno Unito, come modificato dal Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (insieme al Data Protection Act 2018 del Regno Unito, il "GDPR UK"), e il Privacy and Electronic Communications Regulations 2003; e (iv) qualsiasi legge, direttiva, ordine, norma, regolamento o altro strumento vincolante pertinente che attui uno dei suddetti, in ciascun caso, come applicabile e in vigore di volta in volta, e come modificato, consolidato, riemanato o sostituito di volta in volta.

“Dati Personali” indica qualsiasi informazione che Perplexity tratta per conto del Cliente per fornire i Servizi che sia definita come “dato personale”, “informazione personale” o “informazione di identificazione personale” ai sensi di qualsiasi Legge sulla privacy.

“Leggi sulla privacy” indica, a seconda dei casi, le Leggi sulla privacy UE/UK, le Leggi sulla privacy degli Stati Uniti e qualsiasi legge simile di qualsiasi altra giurisdizione che riguardi la protezione dei dati, la privacy o l'utilizzo dei Dati Personali e richieda ai Titolari e ai Responsabili di accettare impegni contrattuali specifici riguardo al trattamento dei Dati Personali, in ciascun caso, come applicabile e in vigore di volta in volta, e come modificato, consolidato, riemanato o sostituito di volta in volta.

“Clausole da Responsabile a Responsabile” indica (i) in relazione ai trasferimenti di Dati Personali soggetti al GDPR, le clausole contrattuali standard per il trasferimento di dati personali verso paesi terzi stabilite nella Decisione della Commissione 2021/914 del 4 giugno 2021, includendo specificamente il Modulo 3 (da Responsabile a Responsabile); e (ii) in relazione ai trasferimenti di Dati Personali soggetti al GDPR del Regno Unito, l'Addendum sul trasferimento internazionale dei dati alle Clausole contrattuali standard della Commissione UE (versione B.1.0) rilasciato dall'Information Commissioner del Regno Unito, in ciascun caso come modificato, aggiornato o sostituito di volta in volta.

“Paese Terzo” indica qualsiasi paese o territorio al di fuori dell'ambito di applicazione delle leggi sulla protezione dei dati dello Spazio Economico Europeo o del Regno Unito, a seconda dei casi, escludendo paesi o territori approvati come fornitori di una protezione adeguata per i Dati Personali dall'autorità competente pertinente di volta in volta.

“Leggi sulla privacy degli Stati Uniti” indica, a seconda dei casi, il California Consumer Privacy Act, il Colorado Privacy Act, il Connecticut Data Privacy Act, lo Utah Consumer Privacy Act, il Virginia Consumer Data Protection Act, qualsiasi legge simile di qualsiasi altro stato relativa al trattamento dei Dati Personali e qualsiasi regolamento emanato ai sensi di uno qualsiasi dei precedenti, in ciascun caso, come applicabile e in vigore di volta in volta, e come modificato, consolidato, riemanato o sostituito di volta in volta.

I termini “Attività”, “Titolare”, “Responsabile”, “Vendita”, “Fornitore di servizi” e “Condivisione” avranno il significato attribuito loro ai sensi delle Leggi sulla privacy applicabili.

Ruoli delle Parti. Le Parti riconoscono che, in relazione a qualsiasi Dato Personale ricevuto dal Cliente nella fornitura dei Servizi, ai fini delle Leggi sulla privacy, il Cliente è il Titolare o Responsabile o l'Attività e Perplexity è il Fornitore di servizi o il Responsabile.

Obblighi del Cliente: Il Cliente dovrà conformarsi a tutte le Leggi sulla privacy nel fornire Dati Personali a Perplexity in relazione al suo utilizzo dei Servizi, compreso l'utilizzo di eventuali integrazioni con i Servizi. Il Cliente dichiara e garantisce che (a) tutti i Dati Personali sono stati raccolti e in ogni momento trattati e conservati da o per conto del Cliente nel rispetto di tutte le Leggi sulla privacy, compresi gli obblighi di fornire notifica e/o ottenere il consenso dagli individui e (b) il Cliente si è conformato alle Leggi sulla privacy (incluso il possesso di una base giuridica) e dispone altrimenti di tutti i diritti, permessi, consensi e autorizzazioni necessari per divulgare i Dati Personali a Perplexity e consentire a Perplexity di trattare i Dati Personali come stabilito nell'Accordo e nel presente DPA. Il Cliente non intraprenderà alcuna azione che renderebbe la fornitura di Dati Personali a Perplexity ai sensi del presente una Vendita o Condivisione ai sensi delle Leggi sulla privacy degli Stati Uniti o che renderebbe altrimenti Perplexity non un Fornitore di servizi o Responsabile ai sensi delle Leggi sulla privacy degli Stati Uniti. Il Cliente notificherà Perplexity senza indebito ritardo qualora il Cliente stabilisca che il trattamento dei Dati Personali ai sensi dell'Accordo non è o non sarà conforme alle Leggi sulla privacy; in tal caso, Perplexity non sarà tenuta a continuare a trattare tali Dati Personali.

Trattamento dei Dati Personali. Le Parti concordano che i dettagli del trattamento sono descritti nell'Allegato 1. Nel trattare i Dati Personali ai sensi dell'Accordo, Perplexity dovrà:

trattare i Dati Personali esclusivamente sulla base di istruzioni documentate fornite dal Cliente, per lo scopo limitato e specifico descritto nell'Allegato 1, a meno che non sia altrimenti consentito il trattamento di tali Dati Personali dalle Leggi sulla privacy applicabili, e in ogni momento in conformità con le Leggi sulla privacy e i termini del presente DPA, fornendo lo stesso livello di protezione della privacy richiesto dalle Leggi sulla privacy;

notificare prontamente il Cliente se: (i) determina di non poter più conformarsi alle istruzioni del Cliente per il trattamento dei Dati Personali, ai propri obblighi ai sensi delle Leggi sulla privacy o ai termini del presente DPA o (ii) ritiene che l'istruzione del Cliente violi le Leggi sulla privacy applicabili;

nella misura richiesta dalle Leggi sulla privacy, concedere al Cliente il diritto di adottare misure ragionevoli e appropriate per contribuire a garantire che Perplexity utilizzi i Dati Personali in modo coerente con gli obblighi del Cliente ai sensi del presente DPA e delle Leggi sulla privacy, nonché interrompere e rimediare a qualsiasi utilizzo non autorizzato dei Dati Personali; e

richiedere che ogni dipendente o altra persona che tratti i Dati Personali sia soggetto a un adeguato obbligo di riservatezza rispetto a tali Dati Personali.

Divieti. Nella misura richiesta dalle Leggi sulla privacy, Perplexity non dovrà (a) Vendere o Condividere Dati Personali, (b) conservare, utilizzare o divulgare i Dati Personali al di fuori del rapporto d'affari diretto tra Perplexity e il Cliente e per scopi diversi dallo scopo specifico di fornire i Servizi al Cliente o (c) combinare i Dati Personali ricevuti da, o per conto del, Cliente con qualsiasi Dato Personale che possa essere raccolto dalle interazioni separate di Perplexity con l'individuo/i a cui i Dati Personali si riferiscono o da altre fonti. Per chiarezza, i Dati Personali non saranno utilizzati per l'addestramento dei modelli linguistici estesi di Perplexity. Se Perplexity riceve (i) una richiesta legalmente vincolante di divulgazione di Dati Personali da parte di un'autorità preposta all'applicazione della legge; o (ii) qualsiasi notifica, indagine o accertamento relativo ai Dati Personali da parte di qualsiasi autorità di controllo/regolatore (o simile); o (iii) qualsiasi reclamo o richiesta da parte di un interessato, in ciascun caso correlato al trattamento dei Dati Personali da parte di Perplexity per conto del Cliente ai sensi del presente DPA, allora (nella misura consentita dalla legge) Perplexity notificherà il Cliente.

Utilizzo di subappaltatori.

Il Cliente concede con la presente a Perplexity l'autorizzazione generale scritta ad avvalersi dei subappaltatori indicati nell'Allegato 2, nel rispetto dei requisiti della presente Sezione 6.

Qualora Perplexity nomini un nuovo subappaltatore o intenda apportare modifiche riguardanti l'aggiunta o la sostituzione di qualsiasi subappaltatore che non sia un Fornitore di Modelli (come definito di seguito), dovrà fornire al Cliente un preavviso scritto di dieci giorni lavorativi (è sufficiente l'e-mail), durante i quali il Cliente può opporsi alla nomina o alla sostituzione per motivi ragionevoli e documentati relativi alla riservatezza o alla sicurezza dei Dati Personali o alla conformità del subappaltatore alle Leggi sulla privacy (e se il Cliente non si oppone, Perplexity può procedere con la nomina o la sostituzione). Se il Cliente si oppone entro cinque giorni, il Cliente e Perplexity collaboreranno in buona fede per concordare una risoluzione dell'obiezione (ad es. limitando l'uso dei Dati Personali o facendo sì che il Cliente smetta temporaneamente o permanentemente di utilizzare un determinato aspetto o funzionalità dei Servizi). Se nonostante tali discussioni in buona fede, non è possibile trovare una risoluzione, il Cliente (come unico rimedio) può terminare l'Accordo e ricevere un rimborso di eventuali Commissioni prepagate inutilizzate (come definite nell'Accordo).

Qualora Perplexity nomini un nuovo subappaltatore o intenda apportare modifiche riguardanti l'aggiunta o la sostituzione di qualsiasi subappaltatore che fornisca modelli linguistici estesi o altri modelli di intelligenza artificiale generativa (un “Fornitore di Modelli”), Perplexity notificherà il Cliente (è sufficiente l'e-mail) e aggiornerà l'elenco dei “Fornitori Terze Parti” riportato su www.perplexity.ai/hub/legal/third-party-models (ognuno dei quali è, per chiarezza, un Fornitore di Modelli ai sensi del presente DPA). Se il Cliente si oppone alla nomina o alla sostituzione, l'unico ricorso del Cliente è (e il Cliente deve) cessare ogni utilizzo del relativo Modello Terza Parte tramite i Servizi (cosa che, per chiarezza, il Cliente può fare in qualsiasi momento dopo la nomina o la sostituzione).

Perplexity dovrà avvalersi di subappaltatori solo in forza di un accordo scritto che contenga obblighi per il subappaltatore non meno gravosi per il relativo subappaltatore rispetto agli obblighi di Perplexity ai sensi del presente DPA.

Nel caso in cui Perplexity si avvalga di un subappaltatore per svolgere attività di trattamento specifiche per conto del Cliente ai sensi delle Leggi sulla privacy UE/UK, qualora tale subappaltatore non adempia ai propri obblighi, Perplexity rimarrà pienamente responsabile nei confronti del Cliente, ai sensi delle Leggi sulla privacy UE/UK applicabili, per l'adempimento degli obblighi di tale subappaltatore.

Assistenza. Perplexity, in relazione al trattamento dei Dati Personali e per consentire al Cliente di adempiere ai propri obblighi derivanti da esso, fornirà assistenza al Cliente tramite:

la notifica al Cliente delle richieste da parte degli individui ai sensi dei loro diritti previsti dalle Leggi sulla privacy, incluso fornendo, eliminando o correggendo i relativi Dati Personali, o consentendo al Cliente di fare lo stesso, nella misura in cui ciò sia possibile;

nella misura richiesta dalle Leggi sulla privacy, la conduzione di valutazioni d'impatto sulla protezione dei dati e, se richiesto, la consultazione preventiva con le autorità competenti pertinenti; e

la notifica al Cliente di qualsiasi accesso, distruzione, utilizzo, perdita, modifica o divulgazione non autorizzati o illegali di Dati Personali ("Violazione dei Dati Personali") senza indebito ritardo dopo che Perplexity è venuta a conoscenza di tale Violazione dei Dati Personali.

Misure di sicurezza. Perplexity, tenendo conto dello stato dell'arte, dei costi di implementazione e della natura, dell'ambito, del contesto e dello scopo del trattamento, implementerà misure tecniche, fisiche e organizzative appropriate progettate per fornire un livello di sicurezza adeguato al rischio, come stabilito nell'Allegato 3, o altrimenti concordato e documentato tra il Cliente e Perplexity di volta in volta, e continuerà a conformarsi a esse durante la durata dell'Accordo. Perplexity fornirà formazione sulla protezione dei dati e sulla sicurezza a quei dipendenti e altre persone autorizzate ad accedere ai Dati Personali.

Accesso e audit. Su ragionevole richiesta scritta del Cliente e nella misura in cui Perplexity sia tenuta dalle Leggi sulla privacy, Perplexity consentirà e contribuirà a ispezioni e audit riguardanti la conformità di Perplexity ai suoi obblighi ai sensi del presente DPA e delle Leggi sulla privacy fornendo, su richiesta del Cliente, le informazioni in possesso di Perplexity ragionevolmente necessarie per dimostrare tale conformità e/o organizzando un auditor qualificato e indipendente per condurre una valutazione delle politiche e delle misure tecniche e organizzative di Perplexity per tale conformità, utilizzando uno standard o quadro di controllo appropriato e accettato e una procedura di valutazione per tali valutazioni. Perplexity fornirà un rapporto di tale valutazione al Cliente su ragionevole richiesta. Al Cliente sarà consentito richiedere tali informazioni e/o audit (nella misura richiesta dalle Leggi sulla privacy) non più di una volta ogni 12 mesi, previo preavviso scritto di 30 giorni a Perplexity, e solo dopo che le Parti avranno raggiunto un accordo sull'ambito dell'audit e a condizione che l'auditor sia vincolato da un obbligo di riservatezza. Nonostante quanto precede, in nessun caso al Fornitore sarà richiesto di fornire al Cliente accesso a informazioni, strutture o sistemi nella misura in cui ciò comporterebbe per il Fornitore la violazione degli obblighi di riservatezza dovuti ad altri clienti o dei suoi obblighi legali.

Eliminazione dei Dati Personali. Perplexity eliminerà (o, a scelta del Cliente, restituirà) tutti i Dati Personali entro trenta giorni dalla fine della fornitura dei Servizi al Cliente, a meno che la conservazione dei Dati Personali non sia richiesta dalla legge; in tal caso, Perplexity notificherà il Cliente senza indebito ritardo di tale requisito legale e, alla scadenza di tale obbligo di conservazione, eliminerà (o, a scelta del Cliente, restituirà) i Dati Personali.

Trasferimenti di dati. Nella misura in cui Perplexity tratti Dati Personali soggetti alle Leggi sulla privacy UE/UK in un Paese Terzo, e agisca in qualità di importatore di dati, Perplexity si conformerà agli obblighi dell'importatore di dati stabiliti nelle Clausole da Titolare a Responsabile o nelle Clausole da Responsabile a Responsabile (a seconda dei casi), che sono con la presente incorporate e formano parte del presente DPA, e:

ai fini dell'Allegato I o della Parte 1 (a seconda dei casi), (i) il Cliente è un titolare o responsabile (a seconda dei casi) e Perplexity è un responsabile, e (ii) le parti, i dettagli della persona di contatto e i dettagli del trattamento stabiliti nell'Accordo, nel presente DPA e nell'Allegato 1 si applicheranno e la Data di Inizio è la data di entrata in vigore dell'Accordo;

se applicabile, ai fini della Parte 1 dell'Addendum UK, i relativi SCC UE dell'Addendum (come tale termine è definito nell'Addendum UK) sono gli SCC UE come incorporati nel presente DPA in virtù della presente Sezione 11;

ai fini dell'Allegato II o della Parte 1 (a seconda dei casi), si applicheranno le misure di sicurezza tecniche e organizzative e le misure tecniche e organizzative adottate da Perplexity per assistere il Cliente, come ciascuna stabilita nell'Allegato 3;

se applicabile, ai fini dell'Allegato III o della Parte 1 (a seconda dei casi), si applicherà l'elenco dei subappaltatori autorizzati stabilito nell'Allegato 2; e

se applicabile, ai fini di: (i) Clausola 9, l'Opzione 2 (“Autorizzazione generale scritta”) si intende selezionata e si fa riferimento alla Sezione 6.b e 6.c in merito ai periodi di preavviso; (ii) Clausola 11(a), la formulazione opzionale in relazione alla risoluzione indipendente delle controversie si intende inclusa; (iii) Clausola 13 e Allegato I.C, l'autorità di controllo competente sarà il regolatore irlandese; (iv) Clausole 17 e 18, l'Opzione 1 si intende selezionata e la legge applicabile e i tribunali competenti saranno rispettivamente la legge irlandese e i tribunali irlandesi; e (v) Parte 1, il Cliente in qualità di esportatore può terminare l'Addendum UK ai sensi della Sezione 19 di tale Addendum UK.

Nella misura in cui Perplexity nomini una società affiliata o un subappaltatore di terze parti per trattare i Dati Personali in un Paese Terzo, Perplexity stipulerà le Clausole da Responsabile a Responsabile con qualsiasi subappaltatore pertinente (comprese le affiliate) che nomina per conto del Cliente. Su richiesta del Cliente, Perplexity stipulerà separatamente le Clausole da Titolare a Responsabile con il Cliente e adotterà qualsiasi altra misura alternativa o aggiuntiva ragionevolmente richiesta dal Cliente al fine di garantire che il trattamento dei Dati Personali da parte di Perplexity avvenga in conformità con i requisiti delle Leggi sulla privacy.

Responsabilità. Fatto salvo quanto previsto dalla Clausola 12 delle SCC dell'UE e da qualsiasi legge applicabile che non possa essere limitata per contratto, la responsabilità complessiva di ciascuna parte derivante da o correlata al presente DPA, alle SCC dell'UE e all'Addendum per il Regno Unito, sia per contratto, illecito civile o altro, è soggetta alle esclusioni e limitazioni di responsabilità stabilite nell'Accordo, e qualsiasi responsabilità ai sensi del presente DPA, delle SCC dell'UE o dell'Addendum per il Regno Unito concorre a formare tale limite e non lo incrementa. Nulla in questa Sezione limita la responsabilità di ciascuna parte nei confronti di un interessato ai sensi della Clausola 12(b) o 12(c) delle SCC dell'UE, o qualsiasi responsabilità che non possa essere limitata ai sensi della legge applicabile sulla protezione dei dati.

ALLEGATO 1

Dettagli del trattamento:

Natura del trattamento

La fornitura dei Servizi al Cliente come stabilito nell'Accordo.

Finalità del trattamento

La fornitura dei Servizi al Cliente come stabilito nell'Accordo.

Categorie di individui i cui Dati Personali sono trattati

Utenti autorizzati dei Servizi e altro come determinato dal Cliente.

Categorie di Dati Personali trattati

Informazioni sull'Account degli Utenti autorizzati e informazioni personali contenute nell'Input inviato tramite i Servizi come determinato dal Cliente. Qualsiasi informazione personale contenuta nell'Input sarà conservata fino alla data successiva tra (a) la data in cui viene eliminata dal Cliente tramite l'interfaccia dei Servizi e (b) la data che cade trenta giorni dopo che Perplexity non fornisce più i Servizi al Cliente.

Tipi di Dati Personali soggetti al trattamento considerati “sensibili” o “particolari” ai sensi delle Leggi sulla privacy

Non è previsto il trattamento di dati sensibili a meno che un Utente autorizzato non li includa inaspettatamente nell'Input.

Frequenza (es. una tantum o continua) e durata del trattamento

Su base continua, per la durata del termine dell'Accordo e qualsiasi periodo di conservazione post-cessazione come stabilito nell'Accordo.

L'oggetto, la natura e la durata del trattamento effettuato da qualsiasi sub-responsabile autorizzato ai sensi della Sezione 6 sono quelli stabiliti nel presente Allegato 1 e nell'Allegato 2.

ALLEGATO 2

Subappaltatori autorizzati:

Come stabilito su https://perplexity.coolkeypoint.com/__p/trust.perplexity.ai/subprocessors ("Elenco dei sub-responsabili del Trust Center").

ALLEGATO 3

Misure di sicurezza:

Perplexity mantiene Misure di sicurezza ragionevoli in misura proporzionata al rischio presentato dal trattamento dei Dati Personali e si affida altrimenti alle misure di sicurezza implementate e mantenute dai subappaltatori indicati nell'Allegato 2, inclusi Amazon e Microsoft. Si prega di fare riferimento all'Accordo per ulteriori dettagli sugli impegni di sicurezza di Perplexity.